Accordo sul trattamento dei dati (DPA)

Il presente Accordo sul trattamento dei dati personali (di seguito "DPA") costituisce l'Allegato 1 e parte integrante del Contratto di fornitura in modalità SaaS della piattaforma AdeguataVerifica.Pro (di seguito "Contratto") ed è accettato dal Cliente contestualmente a esso. I termini con iniziale maiuscola hanno il significato loro attribuito nel Contratto.

Art. 1 – Parti e ruoli

• Titolare del trattamento: il Cliente, che determina finalità e mezzi del trattamento dei dati personali dei propri clienti e dei soggetti a essi collegati in adempimento degli obblighi del D.Lgs. 231/2007.
• Responsabile del trattamento: VULKANO S.R.L., con sede in Via Paolo Vasta 3, 95024 Acireale (CT), P.IVA 06204630872 (di seguito "Fornitore"), che tratta tali dati per conto del Cliente al solo fine di erogare il Servizio.

Il DPA non riguarda i dati del Cliente stesso (nome, e-mail, dati fiscali e di fatturazione), che il Fornitore tratta in qualità di titolare secondo la Privacy Policy.

Art. 2 – Oggetto, durata, natura e finalità del trattamento

Il Fornitore tratta i dati personali inseriti dal Cliente sulla Piattaforma per tutta la durata del Contratto e per i successivi periodi di conservazione indicati all'Art. 11, al solo fine di erogare il Servizio descritto all'Art. 2 del Contratto. Il trattamento comprende la raccolta tramite la Piattaforma, la registrazione, l'archiviazione, l'organizzazione, la consultazione, l'elaborazione (calcolo del rischio, scadenze, alert), la generazione di documenti, l'esportazione, il backup, l'assistenza tecnica e la cancellazione.

Art. 3 – Categorie di interessati e di dati

Interessati:

• clienti del Cliente persone fisiche; legali rappresentanti, esecutori e titolari effettivi dei clienti persone giuridiche o enti;
• altre persone fisiche i cui dati sono raccolti in sede di adeguata verifica;
• utenti della Piattaforma appartenenti allo studio del Cliente (collaboratori).

Dati personali:

• dati identificativi e anagrafici (nome, cognome, data e luogo di nascita, codice fiscale, residenza, cittadinanza) e dati di contatto;
• estremi e copia dei documenti di identità e degli altri documenti caricati nel fascicolo;
• informazioni sull'attività professionale o d'impresa, sulla prestazione richiesta, sullo scopo e sulla natura del rapporto e, ove rilevanti, sulla situazione economica e patrimoniale;
• status di persona politicamente esposta (PEP) e relative verifiche;
• valutazioni del rischio, esiti dei controlli costanti e annotazioni del registro interno delle operazioni sospette;
• eventuali dati relativi a condanne penali e reati (art. 10 GDPR), nei soli limiti in cui il Cliente li raccolga in adempimento del D.Lgs. 231/2007;
• per gli utenti dello studio: nome, e-mail, ruolo, registro delle attività svolte.

Il Cliente si impegna a non inserire categorie particolari di dati (art. 9 GDPR) se non nella misura strettamente necessaria agli adempimenti antiriciclaggio.

Art. 4 – Istruzioni del Titolare

Il Fornitore tratta i dati personali soltanto su istruzione documentata del Cliente. Costituiscono istruzioni documentate il Contratto, il presente DPA e l'utilizzo delle funzionalità della Piattaforma da parte del Cliente e dei suoi utenti. Ulteriori istruzioni devono essere impartite per iscritto e sono eseguite se compatibili con il Servizio. Il Fornitore informa immediatamente il Cliente qualora, a suo parere, un'istruzione violi il GDPR o altre disposizioni in materia di protezione dei dati, salvo che il diritto applicabile vieti tale informazione.

Art. 5 – Riservatezza

Il Fornitore garantisce che le persone autorizzate al trattamento si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza, e che accedano ai dati del Cliente solo nella misura necessaria all'erogazione del Servizio, all'assistenza richiesta dal Cliente o alla risoluzione di malfunzionamenti.

Art. 6 – Misure di sicurezza

Ai sensi dell'art. 32 GDPR il Fornitore adotta misure tecniche e organizzative adeguate al rischio, tra cui:

• cifratura dei dati in transito (TLS) e a riposo;
• isolamento dei dati tra studi diversi tramite Row Level Security (RLS) a livello di database;
• autenticazione con credenziali personali, blocco dell'account dopo ripetuti tentativi di accesso non riusciti e richiesta della password per le operazioni delicate;
• controllo degli accessi basato su ruoli e permessi all'interno dello studio;
• storico delle modifiche e registro delle attività;
• backup periodici per la continuità operativa (disaster recovery);
• procedure di gestione degli incidenti di sicurezza.

Il Fornitore può aggiornare tali misure nel tempo, purché il livello complessivo di sicurezza non venga ridotto.

Art. 7 – Sub-responsabili

Il Cliente autorizza in via generale il Fornitore ad avvalersi di sub-responsabili del trattamento. Alla data del presente DPA i sub-responsabili sono i seguenti:

Il Fornitore comunica al Cliente, via e-mail o con notifica sulla Piattaforma, l'aggiunta o la sostituzione di un sub-responsabile con almeno 30 giorni di anticipo. Entro tale termine il Cliente può opporsi per motivi ragionevoli legati alla protezione dei dati; se le Parti non trovano una soluzione, il Cliente può recedere dal Contratto senza penali prima che la modifica abbia effetto.

Il Fornitore impone a ciascun sub-responsabile, per contratto, obblighi in materia di protezione dei dati non meno rigorosi di quelli del presente DPA e resta responsabile nei confronti del Cliente dell'adempimento degli obblighi del sub-responsabile (art. 28, par. 4 GDPR).

Stripe Payments Europe Ltd, che gestisce i pagamenti dei canoni, non è un sub-responsabile: tratta i soli dati di pagamento del Cliente in qualità di titolare autonomo e non riceve i dati dei clienti del Cliente.

Art. 8 – Trasferimenti verso Paesi terzi

I dati sono conservati su server nell'Unione Europea. Eventuali trasferimenti verso Paesi terzi, anche da parte dei sub-responsabili, avvengono solo verso Paesi oggetto di una decisione di adeguatezza o con garanzie adeguate ai sensi degli artt. 45–46 GDPR, tra cui le clausole contrattuali standard approvate dalla Commissione Europea (decisione 2021/914).

Art. 9 – Assistenza al Titolare

Tenuto conto della natura del trattamento, il Fornitore assiste il Cliente:

• nel dare seguito alle richieste di esercizio dei diritti degli interessati (artt. 15–22 GDPR): la Piattaforma consente al Cliente di consultare, rettificare, esportare e cancellare i dati in autonomia. Se un interessato si rivolge direttamente al Fornitore, questi inoltra la richiesta al Cliente senza ingiustificato ritardo e non vi risponde senza sua istruzione;
• nel garantire il rispetto degli obblighi di cui agli artt. 32–36 GDPR (sicurezza, notifica delle violazioni, valutazione d'impatto e consultazione preventiva), nei limiti delle informazioni a sua disposizione.

Art. 10 – Violazioni dei dati personali

Il Fornitore notifica al Cliente, via e-mail all'indirizzo dell'amministratore dello studio, ogni violazione dei dati personali trattati per suo conto senza ingiustificato ritardo e comunque entro 48 ore dal momento in cui ne è venuto a conoscenza. La notifica contiene, nella misura in cui sono disponibili, le informazioni previste dall'art. 33, par. 3 GDPR, che possono essere fornite anche in fasi successive. Il Fornitore adotta senza ritardo le misure necessarie a contenere la violazione e ad attenuarne gli effetti.

Art. 11 – Restituzione e cancellazione dei dati

Alla cessazione del Contratto il Cliente può esportare i propri dati secondo l'Art. 14 del Contratto (archivio ZIP con dati strutturati, tabelle CSV e documenti allegati).

Poiché il D.Lgs. 231/2007 impone al Cliente di conservare i dati e i documenti dell'adeguata verifica per dieci anni dalla cessazione del rapporto con il proprio cliente, il Cliente, salvo diversa istruzione, incarica il Fornitore di conservarli per i periodi indicati nella Privacy Policy e di cancellarli al loro termine. Dopo aver eseguito l'esportazione, il Cliente può chiedere per iscritto la cancellazione anticipata dei dati, assumendosi la responsabilità del rispetto dei propri obblighi di conservazione. Le copie di backup sono cancellate con il ciclo ordinario di rotazione.

Art. 12 – Informazioni e verifiche

Il Fornitore mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto degli obblighi dell'art. 28 GDPR e consente e contribuisce alle attività di revisione, comprese le ispezioni, svolte dal Cliente o da un revisore da questi incaricato e vincolato alla riservatezza. Salvo che siano richieste da un'autorità di controllo o conseguano a una violazione dei dati, le ispezioni sono concordate con almeno 30 giorni di preavviso, si svolgono non più di una volta l'anno in orario lavorativo, senza pregiudicare la sicurezza dei dati di altri clienti, e i relativi costi sono a carico del Cliente.

Art. 13 – Responsabilità e prevalenza

Alla responsabilità delle Parti derivante dal presente DPA si applicano i limiti dell'Art. 11 del Contratto, fermo quanto previsto dall'art. 82 GDPR nei confronti degli interessati. In caso di contrasto tra il Contratto e il presente DPA in materia di protezione dei dati personali, prevale il DPA. Il DPA segue le sorti del Contratto e può essere modificato con le modalità dell'Art. 16 del Contratto.

---

VULKANO S.R.L. · P.IVA 06204630872 · Via Paolo Vasta 3, 95024 Acireale (CT) · PEC vulkanosrl@pec.it